De NIS2-richtlijn (EU) 2022/2555 is in Nederland omgezet in de Cyberbeveiligingswet (Cbw). Die wet is op 15 augustus 2026 in werking getreden en vervangt de oude Wet beveiliging netwerk- en informatiesystemen (Wbni). Volgens de Rijksoverheid vallen er zo'n 8.000 organisaties in 18 sectoren onder. Voor veel MKB-bedrijven zijn de verplichtingen nieuw. Deze checklist loopt ze stap voor stap door.
Kort antwoord: een cyberincident melden onder NIS2
Een significant incident meldt u via het meldportaal, in één keer bij uw sectorale CSIRT en de bevoegde toezichthouder. Termijnen: een vroegtijdige waarschuwing binnen 24 uur na ontdekking, een incidentmelding met eerste beoordeling binnen 72 uur, en een eindverslag uiterlijk één maand na die incidentmelding.
Wie valt onder NIS2?
NIS2 geldt voor organisaties in 18 sectoren, ingedeeld als 'essentieel' of 'belangrijk':
Essentiële entiteiten (EE)
Energie, transport, bankwezen, financiële markten, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, ICT-beheerders, overheid, ruimtevaart.
Belangrijke entiteiten (IE)
Post- en koeriersdiensten, afvalbeheer, chemische industrie, levensmiddelenproductie, maakindustrie, digitale aanbieders, onderzoek.
Drempelwaarden voor MKB
| Categorie | Drempel |
|---|---|
| Essentiële entiteit | Sector uit bijlage I én groter dan middelgroot: vanaf 250 medewerkers, of een jaaromzet boven € 50 miljoen én een balanstotaal boven € 43 miljoen |
| Belangrijke entiteit | Middelgrote onderneming (vanaf 50 medewerkers, of jaaromzet én balanstotaal boven € 10 miljoen) in een sector uit bijlage I, of middelgroot en groter in een sector uit bijlage II |
| Kleine en micro-ondernemingen | In principe buiten bereik. Uitzonderingen gelden ongeacht omvang, bijvoorbeeld voor DNS-dienstverleners, registers voor topleveldomeinen en gekwalificeerde vertrouwensdiensten |
NIS2 Implementatie Checklist voor MKB (12 stappen)
✅ Stap 1: Bepaal of uw organisatie valt onder NIS2
Controleer uw sector (bijlage I of II van de richtlijn), uw personeelsomvang en uw omzet/balanstotaal. Het NCSC-dossier over de Cyberbeveiligingswet helpt bij een eerste inschatting.
✅ Stap 2: Registreer uw organisatie
Organisaties die onder de Cbw vallen, moeten zich registreren in het entiteitenregister van het NCSC via mijn.ncsc.nl, met eHerkenning (niveau EH2+). Dat is verplicht sinds 15 augustus 2026. U geeft onder meer uw sectoren, diensten, een contactpersoon en uw publieke IP-adressen en domeinnamen op. Wijzigingen meldt u binnen 14 dagen.
✅ Stap 3: Wijs een verantwoordelijke aan
Het bestuur moet de beveiligingsmaatregelen goedkeuren, toezien op de uitvoering en kan aansprakelijk worden gesteld voor inbreuken (artikel 20 NIS2). Bestuurders moeten bovendien zelf een cybersecurityopleiding volgen. In de praktijk helpt het om een CISO of vergelijkbare functionaris aan te wijzen; voor het MKB kan dat ook een externe of part-time CISO zijn.
✅ Stap 4: Voer een risicoanalyse uit
Identificeer alle kritieke bedrijfsprocessen en de ICT-systemen die deze ondersteunen. Breng risico's in kaart (dreigingen, kwetsbaarheden, impact). Documenteer de risicoanalyse — dit is verplicht onder NIS2.
✅ Stap 5: Implementeer technische beveiligingsmaatregelen
NIS2 vereist passende technische maatregelen, waaronder:
- Multi-factor authenticatie (MFA) voor alle kritieke systemen
- Versleuteling van data in rust en transport
- Netwerksegmentatie
- Patch management met vaste, gedocumenteerde termijnen voor kritieke kwetsbaarheden
- Endpoint Detection and Response (EDR)
- Regelmatige back-ups (inclusief air-gapped back-up)
✅ Stap 6: Beveilig de toeleveringsketen
Één van de meest onderschatte NIS2-vereisten: u bent verantwoordelijk voor de beveiliging van uw leveranciers en subcontractors. Stuur leveranciersvragenlijsten uit, neem beveiligingsvereisten op in contracten en voer periodieke audits van kritieke leveranciers uit.
✅ Stap 7: Stel een incidentrespons procedure op
Ontwikkel een Incident Response Plan (IRP) met:
- Rollen en verantwoordelijkheden bij incident
- Meldings- en escalatieprocedures
- Communicatieprotocol (intern en extern)
- Herstel- en continuïteitsprocedures
✅ Stap 8: Ken de meldingsplicht
Een significant incident meldt u via het meldportaal, in één keer bij uw sectorale CSIRT en de bevoegde toezichthouder (RDI over de meldplicht). De termijnen uit artikel 23 van de richtlijn:
| Stap | Termijn | Inhoud |
|---|---|---|
| Vroegtijdige waarschuwing | Binnen 24 uur na ontdekking | Vermoedelijk kwaadwillig? Grensoverschrijdende gevolgen? |
| Incidentmelding | Binnen 72 uur na ontdekking | Update plus eerste beoordeling van ernst en gevolgen |
| Tussentijds verslag | Op verzoek van CSIRT of toezichthouder | Relevante updates |
| Eindverslag | Uiterlijk één maand na de incidentmelding | Gedetailleerde beschrijving, oorzaak, genomen maatregelen |
Een incident is significant als het een ernstige operationele verstoring of financiële verliezen veroorzaakt of kan veroorzaken, of als het anderen aanzienlijke materiële of immateriële schade toebrengt of kan toebrengen. Loopt het incident nog bij het eindverslag? Dan dient u een voortgangsverslag in, en het eindverslag binnen een maand nadat het incident is afgehandeld.
✅ Stap 9: Train medewerkers
Veel incidenten beginnen bij een klik op een phishingmail of een hergebruikt wachtwoord. Plan jaarlijks cybersecuritybewustzijnstraining voor alle medewerkers, phishing-simulaties en specialistische training voor IT-medewerkers.
✅ Stap 10: Zorg voor bedrijfscontinuïteit
Stel een Business Continuity Plan (BCP) op. Test jaarlijks hoe snel u kunt herstellen van een ransomware-aanval of stroomstoring. NIS2 vereist dat u kunt aantonen dat kritieke processen snel hervat kunnen worden.
✅ Stap 11: Documenteer alles
NIS2 is een compliance-verplichting met auditrecht. Houd bij: risicoanalyses, beveiligingsbeleid, incidentlogs, trainingsregisters, leveranciersaudits, penetratietestresultaten.
✅ Stap 12: Laat een gap-analyse of pentest uitvoeren
Schakel een gecertificeerde partij in (CREST, ISO 27001 gecertificeerd) voor een gap-analyse NIS2 of een penetratietest. Dit geeft inzicht in resterende risico's en prioriteiten.
Sancties bij niet-naleving NIS2
| Entiteit | Maximale boete |
|---|---|
| Essentiële entiteiten | Ten minste € 10 miljoen of 2% van de wereldwijde jaaromzet (het hoogste bedrag) |
| Belangrijke entiteiten | Ten minste € 7 miljoen of 1,4% van de wereldwijde jaaromzet (het hoogste bedrag) |
Dit zijn de minimale maximumboetes die artikel 34 van de richtlijn aan lidstaten oplegt. Toezicht ligt bij sectorale toezichthouders, onder meer de Rijksinspectie Digitale Infrastructuur (RDI). Het NCSC beheert het register en treedt op als CSIRT.
FAQ NIS2 MKB Nederland
Geldt NIS2 voor alle MKB-bedrijven in Nederland?
Nee. De Cyberbeveiligingswet geldt in principe voor middelgrote en grote organisaties (vanaf 50 medewerkers, of met jaaromzet én balanstotaal boven 10 miljoen euro) in een van de 18 aangewezen sectoren. Kleine en micro-ondernemingen vallen er meestal buiten, behalve bij uitzonderingen zoals DNS-dienstverleners.
Wanneer moet u een cyberincident melden onder NIS2?
Via het meldportaal, bij uw sectorale CSIRT en de bevoegde toezichthouder: een vroegtijdige waarschuwing binnen 24 uur na ontdekking, een incidentmelding binnen 72 uur en een eindverslag uiterlijk één maand na die incidentmelding. Significant betekent: ernstige operationele verstoring of financiële schade, of aanzienlijke schade bij anderen.
Wat is het verschil tussen NIS2 en ISO 27001?
NIS2 is een wettelijke verplichting voor bepaalde sectoren en bedrijfsgroottes. ISO 27001 is een internationale norm voor informatiebeveiliging die vrijwillig (maar steeds vaker vereist door klanten) wordt aangenomen. ISO 27001-certificering helpt sterk bij NIS2-compliance, maar garandeert op zichzelf geen volledige NIS2-conformiteit.
Vervangt de Cyberbeveiligingswet de Wbni?
Ja. De Cyberbeveiligingswet is op 15 augustus 2026 in werking getreden en vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni). Daarmee geldt de Nederlandse omzetting van NIS2 voor ongeveer 8.000 organisaties in 18 sectoren.
Bronnen: Richtlijn (EU) 2022/2555 (art. 2, 3, 20, 23, 34), Rijksoverheid, NCSC en RDI. Bijgewerkt op 2 oktober 2026.